Od czego zacząć przygotowanie dokumentów?
Polityka prywatności powinna opisywać, jak portal motoryzacyjny przetwarza dane użytkowników. Nie zastępuje jednak obowiązku informacyjnego wynikającego z art. 13 i 14 RODO. Oznacza to, że sama publikacja dokumentu w stopce nie zawsze wystarczy. Informacje trzeba przekazać w odpowiednim momencie, zwłaszcza gdy użytkownik podaje dane w formularzu.
Pierwszym etapem jest mapa danych i przepływów. Warto spisać każdą funkcję serwisu, która wiąże się z pozyskiwaniem lub wykorzystywaniem informacji: rejestrację, logowanie, dodawanie ogłoszeń, kontakt ze sprzedawcą, wyszukiwarkę, newsletter, płatności, moderację, analitykę, reklamę oraz obsługę zgłoszeń. Dla każdej z nich należy ustalić, jakie dane są zbierane, w jakim celu, na jakiej podstawie prawnej, komu mogą być przekazane i jak długo będą przechowywane.
Dane osobowe to nie tylko imię, adres e-mail czy numer telefonu. Mogą nimi być również adres IP, identyfikatory internetowe, lokalizacja, historia wyszukiwania i informacje o aktywności użytkownika. W portalu motoryzacyjnym znaczenie może mieć na przykład lokalizacja pojazdu wskazana w ogłoszeniu albo historia przeglądanych ofert.
Kto jest administratorem i jakie informacje podać?
Administratorem jest podmiot, który ustala cele i sposoby przetwarzania danych. Zwykle będzie to firma prowadząca portal, a nie dostawca hostingu. Dostawca może natomiast przetwarzać dane na zlecenie administratora. Jeśli pełni taką rolę, współpracę należy uregulować umową powierzenia i opisać zgodnie z rzeczywistym przepływem informacji.
Informacja o administratorze powinna zawierać jego pełną nazwę oraz dane kontaktowe. Jeżeli wyznaczono inspektora ochrony danych, należy podać również sposób kontaktu z tą osobą. Warto zadbać, by użytkownik mógł łatwo znaleźć te dane zarówno w polityce, jak i w informacjach prezentowanych przy formularzach.
Zakres obowiązku informacyjnego zależy od sposobu pozyskania danych i konkretnej operacji. Przy zbieraniu ich bezpośrednio od użytkownika należy wskazać między innymi cele i podstawy przetwarzania, odbiorców lub ich kategorie, okres przechowywania albo kryteria jego ustalania, prawa użytkownika oraz możliwość wniesienia skargi do organu nadzorczego. Trzeba też poinformować o transferach danych poza Europejski Obszar Gospodarczy i profilowaniu, jeśli występują.
Jak opisać cele, podstawy i odbiorców danych?
Nie należy przypisywać jednej podstawy prawnej wszystkim działaniom portalu. Każdy cel wymaga odrębnej oceny. Prowadzenie konta i obsługa ogłoszenia mogą być niezbędne do wykonania umowy. Przechowywanie dokumentów księgowych może wynikać z obowiązku prawnego. Przeciwdziałanie nadużyciom może opierać się na uzasadnionym interesie administratora. Zgoda będzie właściwa w sytuacjach, w których przepisy wymagają dobrowolnego wyboru użytkownika, na przykład przy określonych działaniach marketingowych.
Odbiorców danych należy opisać zgodnie z tym, jak działa serwis. Mogą to być dostawcy hostingu, poczty elektronicznej, płatności, analityki, reklamy lub narzędzi do obsługi klienta. Warto rozróżnić podmioty przetwarzające dane na zlecenie administratora od innych odbiorców, którzy działają we własnym zakresie. Sama nazwa kategorii nie zwalnia z obowiązku sprawdzenia umów i konfiguracji usług.
Na przykład ejednoslad.pl może prezentować treści dotyczące jednośladów, ale w przypadku portalu z ogłoszeniami zakres przetwarzania zależy także od funkcji takich jak konto użytkownika, kontakt ze sprzedawcą czy lokalizacja oferty. Polityka powinna opisywać faktyczne działanie konkretnego serwisu, a nie ogólny model branży.
Jakie informacje umieścić przy formularzach i funkcjach?
Informacje powinny być łatwo dostępne, napisane prostym językiem i przekazane wtedy, gdy dane są zbierane. Rozbudowana polityka może zawierać szczegóły, ale przy formularzu warto zastosować krótką informację warstwową oraz czytelne odesłanie do dalszych wyjaśnień. Użytkownik powinien rozumieć, które dane są konieczne do skorzystania z usługi, które są dobrowolne i co się stanie, jeśli ich nie poda.
- Rejestracja i logowanie: opisz dane potrzebne do utworzenia i zabezpieczenia konta oraz obsługi umowy.
- Dodawanie ogłoszenia: wyjaśnij, jakie dane kontaktowe i informacje o pojeździe są publikowane, komu będą widoczne i jak służą obsłudze ogłoszenia.
- Kontakt ze sprzedawcą: wskaż, czy wiadomość i dane nadawcy są przekazywane adresatowi oraz jak długo pozostają w systemie.
- Newsletter: oddziel zapis na wiadomości od zgód dotyczących innych celów i wyjaśnij sposób rezygnacji.
- Obsługa zgłoszeń: opisz dane wykorzystywane do weryfikacji zgłoszenia, moderacji i odpowiedzi.
Warto sprawdzić również wyszukiwarkę, aplikacje, wtyczki i zewnętrzne skrypty. Jeżeli portal wykorzystuje lokalizację, historię wyszukiwań lub dane o zachowaniu do dopasowywania reklam, należy jasno opisać cel i zakres takiego przetwarzania. Jeśli tworzone są profile albo podejmowane decyzje automatyczne, użytkownik powinien poznać ten fakt oraz możliwe konsekwencje.
Jak opisać prawa użytkownika i okres przechowywania?
Polityka powinna wyjaśniać, jak użytkownik może zażądać dostępu do swoich danych, ich sprostowania, usunięcia lub ograniczenia przetwarzania. Należy opisać również prawo do sprzeciwu, przenoszenia danych oraz wycofania zgody. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, które odbywało się przed jej cofnięciem.
RODO przewiduje zasadniczo miesiąc na odpowiedź na wniosek dotyczący realizacji praw. W określonych przypadkach termin może zostać przedłużony, ale użytkownika trzeba o tym poinformować. Dokument powinien podawać także możliwość wniesienia skargi do właściwego organu nadzorczego.
Nie wystarczy napisać, że dane są przechowywane „tak długo, jak to konieczne”. Lepiej wskazać okres dla poszczególnych celów albo kryteria jego ustalania. Konto może być utrzymywane przez czas korzystania z usługi, dane rozliczeniowe przez okres wynikający z przepisów, a zgłoszenia przez czas potrzebny do ich rozpatrzenia i ewentualnego ustalenia lub obrony roszczeń. Konkretne terminy trzeba dopasować do prawa i rzeczywistych procedur portalu.
Jak uregulować cookies, analitykę i reklamę?
Cookies i podobne technologie należy opisać według ich rzeczywistego zastosowania. Każda kategoria powinna mieć wskazany cel, na przykład utrzymanie sesji, pomiar ruchu lub personalizację reklam. Śledzące cookies reklamowe co do zasady nie są konieczne do wykonania umowy o korzystanie z podstawowej usługi portalu, dlatego nie należy przedstawiać ich jako niezbędnych.
Zgoda powinna być dobrowolna, konkretna, świadoma i jednoznaczna. Nie zastępują jej milczenie, domyślnie zaznaczone pola ani samo przewijanie strony. Użytkownik powinien móc osobno wybrać cele, takie jak analityka i reklama, a następnie równie łatwo wycofać zgodę. Profilowanie reklamowe i śledzenie zachowań nie powinny być warunkiem korzystania z podstawowych funkcji serwisu.
Przed publikacją warto sprawdzić, czy każdy formularz ma przypisaną informację o prywatności, każda kategoria cookies ma określony cel, a odmowa i cofnięcie zgody są równie łatwe jak jej udzielenie. Następnie trzeba porównać treść dokumentów z ustawieniami portalu, działaniem skryptów i umowami z dostawcami. Polityka jest wiarygodna tylko wtedy, gdy opisuje rzeczywiste praktyki, a nie planowane lub domyślne rozwiązania.